VPN şlüzündə Fail2ban: nəyi həll edir, nəyi etmir

Hər açıq xidmət eyni məsləhəti alır: üzərinə fail2ban qoy. VPN şlüzü üçün bu məsləhət nə səhvdir, nə də kifayətdir və onu sərtləşdirmə qeydi kimi qəbul etmək insanların heç bir faydalı şeyi bloklamayan həbsxana (jail) ilə qalmasına səbəb olur. Fail2ban göstərdiyiniz uğursuzluq qeydlərini oxuyur və uyğun mənbələri bloklamaq üçün icra backendindən xahiş edir. Onun bütün dəyəri qeydi hansı autentifikasiya səthinin yaratdığından, oradakı ünvanın həqiqi müştəri olub-olmadığından və həmin ünvanın arxasındakı hər kəsə nə olduğundan asılıdır.

Fail2ban mexaniki olaraq nədir

Filter jurnaldakı sətirləri uyğunlaşdırır, həbsxana mənbə üzrə uyğunluqları sayır, tədbir isə firewall backendı vasitəsilə blok tətbiq edir. Üç hərəkət edən hissə, hər biri ayrıca səhv ola bilər.

Üçünün heç biri autentifikasiya yoluna toxunmur: fail2ban hadisədən sonra sübutlara reaksiya verir və heç vaxt etimadnaməni özü yoxlamır. Buna görə həbsxana təmiz işləyə bilər, halbuki adlandırdığı səth əvvəlki kimi açıq qalır.

Tunnel dinləyicisi giriş forması deyil

OpenVPN dinləyicisi tls-auth və ya tls-crypt ilə qorunursa, nəzarət kanalı qorunması olmayan paketləri adi TLS emalı başlamazdan əvvəl atır. Açarı heç vaxt əldə etməyən skaner filtrinizin saya biləcəyi heç nə yaratmır. Sertifikat autentifikasiyası başqa bir qapı əlavə edir, çünki təxmin ediləcək parol yoxdur. Fail2ban layihəsi ümumi jurnal əsaslı modeli sənədləşdirir və ümumi VPN filtri autentifikasiya olunmamış paketi mənalı uğursuzluq hadisəsinə çevirmir.

Əgər şlüz yalnız sertifikatları qəbul edirsə, müdafiə etdiyiniz brute-force hekayəsi o portda ümumiyyətlə olmaya bilər.

Bəs hansı səthi qoruyursunuz?

Eyni host tez-tez üç fərqli şeyi açır: tunnel dinləyicisi, müştəri profili və ya özünəxidmət portalı və idarəetmə səhifəsi. Portal və idarəetmə səhifəsində parol formaları var və filtrin saya biləcəyi jurnal sətirləri yaradır. Tunnel isə yalnız tamam başqa məna daşıyan handshake xətaları yarada bilər. Həbsxananı məhsul adına deyil, səthə uyğunlaşdırın.

Səhv jurnalı izləyən bir həbsxana heç olmamasından pisdir, çünki əhatə olmadan inam yaradır. Giriş filtrini tunnel handshake xətalarına yönəldin və sayğac heç vaxt açarı olmayan skanerlərdə işə düşür, portala qarşı parol hücumu isə sayılmır. Həbsxananın rəqəminə güvənməzdən əvvəl filtrin uyğunlaşdırdığı jurnal sətrini oxuyun.

Mənbənin müəyyən edilməsi zəif halqadır

Blok yalnız hədəf aldığı ünvan qədər yaxşıdır. Xidmət yerli tərs proxy arxasında olduqda, jurnaldakı müştəri ünvanı proxy ola bilər və onu bloklamaq hər kəsi çıxarır. Etibarsız mənbədən gələn ötürülmüş başlığa güvənmək hücumçuya ixtiyari ünvanları bloklamaq imkanı verir. UDP-də mənbə ünvanları saxtalaşdırıla bilər, ona görə onları saymaq tamamlanmış TCP girişini saymaqdan daha çox diqqət tələb edir.

Mənbənin müəyyən edilməsi metodunu həbsxananın README faylında qeyd edin, çünki etibarsız hopdan gələn ötürülmüş başlıq bloku silaha çevirir.

Yan xərc digər insanlardır

Bir ofis NAT-ı arxasındakı bir neçə əməkdaş ünvanı paylaşır, ona görə bir köhnəlmiş yadda saxlanmış parol hədd aşıldıqda bütün məkanı kilidləyə bilər. Jurnal bir mənbə və uğursuz olan bir hesab göstərir, məkan miqyaslı kəsinti deyil.

Qısa bloklar və mülayim hədlər bunu azaldır, sənədləşdirilmiş blokdan çıxarma yolu isə bu yenə də baş verdikdə dəstək yükünü azaldır. Ünvan şəxsiyyət deyil, kobud siqnal və bilet açan şəxs həddi deyil, kəsintini təsvir edəcək.

Nə vaxt tətbiq etməli, nə vaxt başqa şeyi düzəltməli

Nəzarət etdiyiniz səthdə real, aid edilə bilən, təkrarlanan onlayn giriş uğursuzluğu olduqda və icra backendı həmin səthi həqiqətən əhatə etdikdə onu tətbiq edin. Problem zəif etimadnamə siyasəti, internetə açıq idarəetmə səhifəsi və ya kompromisə uğradığı üçün uğurla daxil olan hesabdırsa, başqa şeyi düzəldin. Blok bunların heç birini təmir edə bilmir və artıq uplinkinizi doyurmuş trafiki də udara bilmir. O son problem yuxarıda, paketlər sizə çatmazdan əvvəl filtrləyə bilən birinin yanındadır.

Hər həbsxananı bir səthə bağlı saxlayın, yalançı pozitivləri nəzərdən keçirin və bloklanmış ünvanların sayı əvəzinə qarşısı alınan autentifikasiya işini ölçün.